foto freepik
Physische Penetrationstests, kurz Pentests, werden oft übersehen, wenn es um Sicherheit geht, obwohl physische Sicherheitsvorfälle sowohl 2021 als auch 2022 um je 28 Prozent anstiegen. Sicherheitsfachleute erhalten in der neuen ISACA-Ressource, Physical Penetration Testing: The Most Overlooked Aspect of Security, tiefere Einblicke. Die Ressource gibt einen Überblick über physische Pentests, die Bedeutung der physischen Sicherheit und beleuchtet die Methoden und Werkzeuge, die bei physischen Penetrationstests zum Einsatz kommen.
Physische Penetrationstests sind darauf ausgelegt, Schwachstellen in den physischen Sicherheitskontrollen einer Organisation zu identifizieren und zu simulieren, wie echte Angreifer versuchen würden, Zugang zu eingeschränkten Informationsbereichen zu erhalten. Das Whitepaper skizziert verschiedene Testmethoden, einschließlich:
- Social Engineering
- Physische/technische Umgehung
- Destruktive vs. Nicht-destruktive Tests
- Advanced persistent threats (APT)
Fachleute können auch erfahren, wie Organisationen und Testfirmen auf der Grundlage von Faktoren wie Budget, Umfang des Engagements und von der Organisation bereitgestellten Insider-Informationen entscheiden, welchen Test sie verwenden. Die Veröffentlichung untersucht diese verschiedenen Testtypen, einschließlich:
- Red team
- Blackbox
- Whitebox
- Graybox
- Due diligence assessment (walkthrough)
»Technologische Fortschritte und die Variabilität in der Arbeitsweise von Organisationen erhöhen die Herausforderung, sensible Daten und Vermögenswerte zu sichern. Unternehmen dürfen die Risiken, die mit physischem Zugang verbunden sind, nicht übersehen«, sagt Jon Brandt, Director Professional Practices and Innovation bei ISACA. »Die physische Sicherheit geht der Informationssicherheit voraus und obwohl sie möglicherweise von Cyberbedrohungen überschattet wird, sind die Vorteile von physischen Penetrationstests zahlreich und stärken die allgemeine Sicherheitslage jeder Organisation.”
Während es Vorteile von physischen Penetrationstests gibt, wie regulatorische Compliance, Personensicherheit und Datenschutz, gibt es auch mehrere Herausforderungen: Kosten, Zeit, rechtliche und ethische Überlegungen, Missverständnisse mit bewaffneten Wachen, Sperrgebiete oder verbotene Objekte und Personal, das möglicherweise nicht die richtigen Fähigkeiten für Penetrationstests hat. Das Papier stellt Strategien zur Überwindung dieser Herausforderungen vor, denen eine Organisation begegnen kann.
Um eine kostenlose Kopie von Physical Penetration Testing: The Most Overlooked Aspect of Security herunterzuladen, besuchen Sie www.isaca.org/resources/white-papers/2023/physical-penetration-testing. ISACA-Mitglieder haben Zugang zu einem begleitenden CPE-Quiz.
Diese Ressource ergänzt weitere ISACA-Inhalte und -Anleitungen, die Sie hier finden.